AI Act: principi chiave, calendario e ruoli tra provider e deployer
L’AI Act europeo, regolamento n. 2024/1689, è costruito attorno a un principio di risk-based approach, articolando i requisiti a seconda del livello di impatto delle diverse tecnologie AI su cittadini e imprese. Le tappe della sua applicazione sono scandite da un calendario operativo:
- Dal 2 febbraio 2025: vietati i sistemi considerati “a rischio inaccettabile” (esempio: social scoring, manipolazione subliminale).
- Dal 2 agosto 2025: operative le regole di governance e le responsabilità per fornitori dei grandi modelli AI e le prime sanzioni.
- Dal 2 agosto 2026: entrano in vigore gli obblighi di trasparenza per la platea più ampia di imprese, professionisti, enti pubblici.
Nel tempo, ulteriori obblighi verranno applicati anche ai sistemi ad alto rischio (HR): nei settori di lavoro, credito, istruzione ed health care – la piena operatività per questi è prevista tra il 2027 e il 2028.
La normativa distingue tra provider (chi sviluppa o immette sul mercato il sistema) e deployer (chi utilizza l’AI nella propria attività). Questa differenza definisce la ripartizione delle responsabilità di adeguamento e comunicazione:
- Il provider deve dotare i sistemi di funzionalità idonee a segnalare l’intelligenza artificiale nei punti di contatto.
- Il deployer deve assicurare che gli obblighi di trasparenza siano effettivamente rispettati quando il sistema viene utilizzato verso l’esterno.
L’obiettivo è costruire un regime multilivello di accountability che copre l’intero ciclo di vita del sistema AI, con particolare attenzione ai ruoli nella filiera, garantendo la tracciabilità delle responsabilità e la documentazione puntuale per ogni passaggio.
Obblighi di trasparenza per chatbot, assistenti virtuali e sistemi automatici
I nuovi obblighi di trasparenza impongono che, in ogni interazione diretta con sistemi AI come chatbot, assistenti virtuali o agenti digitali, l’utente sia informato chiaramente – al primo contatto – che si trova di fronte a una tecnologia automatica. L’informativa non può essere marginale: va inserita in modo visibile, facilmente accessibile anche da dispositivi mobili e accessibile con tecnologie assistive.
La norma coinvolge:
- Servizi clienti gestiti da chatbot
- Sistemi automatici di prenotazione o pre-screening commerciale
- Assistenti vocali o conversazionali digitali
Le aziende sono tenute ad adottare soluzioni concrete, dalla revisione delle interfacce utente all’aggiornamento dei messaggi iniziali e delle policy informative. L’obiettivo è evitare che l’utente attribuisca risposte o decisioni a persone reali, minimizzando il rischio di fraintendimenti.
Importante differenziare: se il contesto rende già evidente la natura artificiale (ad esempio, risposte tipizzate o interfaccia esplicitamente robotica), l’obbligo può considerarsi soddisfatto. Altrimenti, la disclosure deve essere tempestiva. Spesso è richiesta anche la presenza di un canale alternativo per interagire con operatori umani e l’indicazione dei limiti delle risposte generate dai sistemi automatici.
Etichettatura e marcatura di contenuti generati, deepfake e informazione pubblica
L’AI Act impone un doppio livello di trasparenza per i contenuti generati o manipolati da sistemi automatici, con focus su deepfake, immagini, video e testi informativi:
- Marcatura tecnica: i provider devono incorporare codice o metadati affinché il contenuto sia riconoscibile come artificiale da piattaforme, software e sistemi automatici.
- Etichettatura visibile: in determinati casi (es. deepfake o testi destinati all’informazione pubblica non revisionati da umani), il deployer deve pubblicare una disclosure leggibile chiarendo che il contenuto ha origine sintetica.
Nel caso dei deepfake, il riferimento va a materiali audio-video o immagini che replicano in modo credibile persone, eventi, luoghi o cose. La legge prevede eccezioni per finalità artistiche, satiriche o creative laddove l’etichettatura visibile rischi di compromettere l’esperienza d’uso. Per i testi informativi, se manca un controllo editoriale umano con responsabilità esplicitamente attribuita, deve essere sempre dichiarata la generazione artificiale.
Questa impostazione rafforza la catena di responsabilità e argina rischi di inganno, manipolazione o disinformazione, senza penalizzare automaticamente tutti gli output assistiti da AI: la disclosure è mirata ai casi in cui il destinatario potrebbe essere tratto in inganno sulla natura del contenuto.
Gestione dei rischi, tracciabilità, log e responsabilità organizzativa
La gestione responsabile dell’AI passa da una tracciabilità robusta e audit trail ben strutturato. Il regolamento europeo richiede per molte soluzioni, soprattutto ad alto rischio, la conservazione dei log delle attività, documentando ogni interazione e produzione di contenuto. Provider e deployer devono:
- Creare registri delle operazioni e mantenere storici accessibili delle esecuzioni system-driven;
- Garantire la qualità e l’omogeneità dei metadati, includendo informazioni di provenienza e aggiornamento
- Istituire politiche chiare su chi approva, rivede e archivia contenuti e interazioni
Per alcuni settori e utilizzi il mantenimento dei log si prolunga per periodi appropriati, per consentire indagini, ispezioni o audit successivi. Si tratta di un ulteriore presidio di accountability che collega la gestione della compliance anche alla cybersecurity e al data management. L’esperienza diretta delle aziende italiane dimostra che processi verificabili e storicizzati sono la base per dimostrare una governance effettiva agli occhi delle autorità di vigilanza e degli stakeholder.
Sanzioni e sistema di vigilanza: cosa rischiano imprese e professionisti
Il sistema sanzionatorio è stato strutturato per assicurare efficacia al nuovo quadro e spingere tutte le organizzazioni verso un adeguamento tempestivo e stabile. Le principali conseguenze in caso di mancata conformità sono:
| Tipo di violazione | Limite sanzione |
| Trasparenza/etichette non applicate | Fino a 15 milioni di euro o 3% del fatturato mondiale |
| Violazioni su pratiche vietate | Fino a 35 milioni di euro o 7% |
Secondo la normativa nazionale, la vigilanza sul mercato italiano è affidata all’Agenzia per la Cybersicurezza Nazionale (ACN) per quanto riguarda i controlli e le ispezioni, affiancata dall’AgID per l’innovazione. La Commissione Europea supervisiona i modelli AI di uso generale con capacità sistemiche. Oltre ai rischi economici, persistono rischi professionali e reputazionali: dalle contestazioni contrattuali fino a responsabilità civili per danni cagionati da contenuti automatizzati non dichiarati.
Adeguamento operativo e buone prassi per le aziende alla luce dell’AI Act
Per le aziende la gestione degli adempimenti della normativa europea non può ridursi all’inserimento di un semplice avviso. Le fasi operative chiave includono:
- Inventario dei sistemi: censire chatbot, generatori di testo, avatar, assistenti virtuali e tutti gli strumenti AI effettivamente usati nei diversi reparti e flussi.
- Definizione dei ruoli nella filiera: chiarire se si agisce come deployer o provider, conservando la documentazione tecnica e i contratti di fornitura.
- Revisione e disclosure editoriali: documentare chi approva la pubblicazione di output generati e con quali controlli. Per i materiali sensibili applicare checklist rigorose ormai richieste dagli organi di vigilanza.
- Formazione su misura: avviare percorsi di AI literacy mirati sui ruoli aziendali e le rispettive responsabilità operative, dato che la formazione generica non è più sufficiente.
- Gestione dei fornitori e garanzie contrattuali: inoltrare richieste scritte di compliance ai fornitori di software AI e verificare le tempistiche di adeguamento (es. per la marcatura machine-readable obbligatoria dal 2 dicembre 2026 per i sistemi già sul mercato).
Infine, una buona prassi organizzativa prevede l’adozione di policy interne sugli utilizzi ammessi, dati trattabili e controlli sulla qualità degli output, con la nomina di responsabili interni, aggiornamento della documentazione privacy e un vero sistema di segnalazione, audit e miglioramento continuo delle procedure. Questo approccio trasforma l’adempimento normativo in una nuova leva di affidabilità, valore e competitività per la filiera produttiva.
